Где ты увидел в защищенном соединении отправку токена? В примере же видно, что токен не отправляется, а отправляются определенные параметры и ихняя подпись sig, и защищенный запрос отправляется на страницу ttp://api.vkontakte.ru/api.php, а не куда попало. Там про это даже конкретно написано